Teléfonos móviles al final del leasing: ¿destruir o reacondicionar?
Cada dos años sale del ciclo de leasing un vagón de smartphones en muchas empresas. Dispositivos que se usaron para el correo corporativo, almacenamiento en la nube, tokens de VPN, datos de clientes y a veces apps médicas o financieras. La empresa de leasing los quiere de vuelta, los reacondicionadores quieren comprarlos, pero el CISO se pregunta qué ocurre con todos los datos que durante tres años fueron a parar a esos dispositivos. La tensión entre el valor residual económico y el cumplimiento del RGPD no es mayor en ningún sitio que en los teléfonos móviles.
Este artículo expone dónde están los riesgos, cómo tomar una decisión entre reacondicionar y destruir, y cuándo la destrucción física es la única opción segura.
Por qué los smartphones son un riesgo aparte
Un smartphone corporativo contiene más datos personales que un portátil de oficina medio. Piensa en:
- Historial completo de correo con archivos adjuntos
- Contactos, incluidos números privados
- Conversaciones de WhatsApp y Signal
- Fotos en la nube con datos de ubicación
- Configuraciones de VPN y tokens
- Apps de autenticación con claves 2FA
- Apps de salud y seguimiento de actividad física
- Apps corporativas como CRM, Microsoft Teams, Slack, DocuSign
En caso de pérdida o de una eliminación deficiente, las consecuencias son grandes. Un dispositivo reacondicionado con datos legibles puede provocar una brecha de datos de dimensiones significativas.
¿Qué puede hacer el borrado seguro en iOS y Android?
iPhone y iPad
Apple usa cifrado por hardware con un Secure Enclave. La función «Borrar contenidos y ajustes» descarta la clave de cifrado, con lo que todos los datos quedan criptográficamente ilegibles. En teoría es seguro, siempre que:
- El dispositivo funcione con una versión actual de iOS sin vulnerabilidades conocidas de lectura de claves
- Se haya cerrado la sesión del Apple ID antes de borrar
- Buscar mi iPhone esté desactivado (de lo contrario, Bloqueo de Activación y dispositivo inservible para el reacondicionador)
- No haya jailbreak presente
Android
Android es más complejo. Los fabricantes (Samsung, Google, Oppo, Xiaomi, etc.) implementan el cifrado y el restablecimiento de fábrica a su manera. Desde Android 6 el cifrado basado en archivos es estándar, pero los dispositivos más antiguos y los modelos más económicos no siempre tienen cifrado por hardware completo. Un restablecimiento de fábrica parece eliminarlo todo, pero el análisis forense ha demostrado en varias ocasiones que partes de los datos del usuario siguen siendo recuperables en dispositivos con eMMC sin cifrar.
Para Samsung Knox y Google Pixel el restablecimiento de fábrica es más que suficiente en modelos posteriores a 2020. Para los más antiguos y de gama baja, la duda es razonable.
Un restablecimiento de fábrica en un Pixel 8 es criptográficamente fiable. Un restablecimiento de fábrica en un Moto E de 2019 no lo es. Sé qué tienes entre manos antes de cederlo.
El árbol de decisión
- ¿El dispositivo está protegido con cifrado por hardware completo y una versión actual del sistema operativo?
Sí: restablecimiento de fábrica y borrado remoto vía MDM suelen bastar para reacondicionar.
No: pasa al 2. - ¿Se han tratado datos médicos, financieros u otros de categoría especial?
Sí: destruir físicamente.
No: pasa al 3. - ¿El dispositivo tiene más de 4 años o ya no recibe soporte del fabricante?
Sí: destruir físicamente (las vulnerabilidades de firmware ya no se parchean).
No: pasa al 4. - ¿Tienes Mobile Device Management (MDM) y registro del borrado?
Sí: reacondicionar es aceptable.
No: destruir físicamente o un servicio de borrado profesional con certificado.
Contrato de leasing: ¿quién es responsable?
Un error frecuente es pensar que la empresa de leasing es responsable de la destrucción de datos en la devolución. Desde el punto de vista del RGPD, el responsable es el proveedor, es decir, tú como empresa. En cuanto el dispositivo sale de tu edificio con datos legibles, tú respondes por una posible fuga. Las empresas de leasing suelen ofrecer un servicio de borrado, pero sin derechos de auditoría ni certificado adjunto sigues confiando a ciegas en su trabajo. Acuérdalo de antemano en el contrato: quién borra, cuándo, con qué herramienta y con qué certificado.
El papel del MDM
Una solución de Mobile Device Management bien configurada (Microsoft Intune, VMware Workspace ONE, Google Workspace, Apple Business Manager) es crucial. Antes de devolver un dispositivo:
- El MDM activa un borrado remoto y registra el resultado
- Se desvincula el Apple ID o la cuenta de Google
- Se desactiva el Bloqueo de Activación
- Se marca el dispositivo como «fuera de servicio» en tu registro de activos
Sin MDM, una gestión inequívoca es prácticamente imposible. Las organizaciones pequeñas con un puñado de dispositivos pueden hacerlo a mano, siempre que cada paso quede registrado.
¿Stock de teléfonos de devolución de leasing?
Trituramos smartphones hasta DIN 66399 E-4 o superior en tu ubicación. Dispositivo a dispositivo, con certificado. También para tablets, smartwatches y baterías externas con memoria.
Solicita un presupuesto¿Qué dice la norma?
La DIN 66399 trata los teléfonos móviles como soportes electrónicos. Clasificación:
- E-4: mínimo para datos personales habituales. El dispositivo se reduce a partículas de un máximo de 30 mm².
- E-5: para categorías especiales y datos financieros. A menudo lo solicitan bancos, profesionales sanitarios y despachos de abogados.
Consulta también nuestro artículo sobre la destrucción de SSD para una explicación más profunda de por qué el borrado en memoria flash no es fiable. Los teléfonos funcionan con la misma tecnología NAND y sufren las mismas limitaciones.
Reacondicionadores y acuerdos de datos
Un reacondicionador serio trabaja bajo las reglas de WEEELABEX o normas comparables y tiene un procedimiento de borrado de datos con certificación. Si decides reacondicionar, exige entonces:
- Contrato de encargado del tratamiento firmado (RGPD art. 28)
- Certificado de borrado por IMEI
- Derecho de auditoría
- Cadena registrada: quién se hizo cargo, cuándo, dónde se almacenó
¿Ninguno de los anteriores? Entonces la destrucción física es la vía segura para el RGPD.
Baterías y RAEE
En la destrucción física hay que tener en cuenta las baterías de iones de litio. Un servicio de destrucción profesional separa primero la batería o usa equipos que trabajan con seguridad con las baterías instaladas. Perforarlas tú mismo o tirarlas a una trituradora de oficina es un riesgo de incendio.
Los residuos electrónicos tras la destrucción van a un procesador certificado WEEELABEX para la recuperación de metales. Pide una prueba de ello si aplicas ISO 14001 o informes ESG.
¿Preguntas sobre tu flujo de devolución? Llámanos o solicita un presupuesto a través de desnipperaar.nl. Asesoramos gratis sobre la elección entre reacondicionar y triturar, el contrato de encargado del tratamiento y el registro.